虚拟化数据中心安全专题

network

如今，大大小小的公司都在实施或计划实施虚拟化技术，从而由物理数据中心向虚拟化数据中心迁移。因而，除了其他方面需要考虑外，这种虚拟化数据中心 的安全性尤其需要认真考虑。你可能认为，由于自己早已在物理数据中心部署了足够有效的安全解决方案，为什么还需要虚拟机保护措施？已经实施了虚拟化技术的 那些人会进一步支持这种观点，表示如今的虚拟化领域几乎没有任何安全威胁。那么，为什么还要为此而担忧呢？

　　上述这两个问题都有根有据；但考虑到安全威胁一直呈日益增长的势态，我们将很快看到虚拟化数据中心出现安全漏洞。你会发现，VMware、思杰和微软等所有虚拟化技术厂商其实都已经在给各自的软件打补丁，以堵住漏洞。

　　数据中心是下一个目标

　　为什么会出样？答案很简单。如今的每一款软件都很容易遭到安全威胁的攻击；既然如此，虚拟化也不例外：因为归根结蒂，虚拟化也是一款软件。现在没有 威胁，并不代表以后仍然没有威胁。随着更多的公司将虚拟化技术部署到各自的数据中心环境，黑客们会逐渐转移重心，开始寻找虚拟化环境中的安全漏洞。趋势科 技印度公司总经理Amit Nath在谈到云安全时说：“在虚拟化数据中心，虚拟机这部分变得越来越重要。有人迟早会攻击虚拟机。我们从未听说过虚拟化环境存在太多的安全威胁，但是 在接下来的6至9个月，我们会看到更多的威胁和攻击。”

　　虚拟化数据中心没有边界安全

　　大多数CIO可能认为，自己的物理数据中心得到了所有最新的安全解决方案的妥善保护。对此，Amit补充说：“你部署了虚拟化技术后，边界安全不复 存在，因为你其实不知道自己的各个虚拟机在什么地方。”在虚拟化环境下，虽说你减少了物理服务器的数量，但同时也把众多的虚拟机塞入到了单一的物理服务器 上。这样一来，就很难跟踪虚拟机了。另外，你可能会创建备用虚拟机；那样万一主虚拟机出现了故障，备用虚拟机就可以顶上，实现故障切换机制。此外，由于需 要部署更多的应用程序，因而会增加更多的虚拟机。在这样一种情况下，虚拟机从一台物理服务器无缝转移到另一台物理服务器上，该如何跟踪那么多的虚拟机？

　　搞好虚拟机安全

　　所以最后，既然虚拟机技术面临的安全威胁可能会出现，你该怎么办？你显然需要能够应对那些威胁的安全软件。重申一下，你需要牢记几个方面。首先，你 准备在每一个虚拟机上安装单独的反恶意软件程序吗？这是个繁琐的过程，而且很耗费资源。Amit Nath说：“设想一下，同时在你的所有虚拟机上运行反病毒扫描。这完全会拖垮系统的性能。”因而你需要的是一种不会严重消耗系统资源的解决方案。不然， 你无法把所需的众多虚拟机塞入到单单一台物理服务器上。因而，你就经常需要购买更多的硬件服务器，从而降低了实施虚拟化技术所带来的投资回报。

network

莫让虚拟化成为服务器安全决堤之口

　　服务器虚拟化只需要较少的硬件资源就能运行多重应用程序和操作系统，能允许用户根据自身需求快速调配新的资源。但是这些灵活性也导致网络和安全管理者们不禁担心存在于虚拟环境中的安全隐患会在整个网络中蔓延开去。因为如果服务器管理程序发生问题，那么很快就会通过虚拟机在整个网络中蔓延出来。接下来，就让我们从服务器租用以下四个方面看一看与服务器虚拟化的相关问题：

　　1. 虚拟机溢出导致安全问题蔓延，管理程序设计过程中的安全隐患会传染同台物理主机上的虚拟机，这种现象被称作“虚拟机溢出”。

　　2. 现在技术工程师通常采用隔离虚拟机的方式来保障虚拟环境的安全性。保障虚拟环境安全的传统方式是在数据库和应用程序层间设置防火墙。他们从网络上脱机保存虚拟化环境有助于缓解安全隐忧。这对于虚拟化环境来说是比较好的方法。

　　3. 如果虚拟机能够从所在管理程序的环境中脱离出来，入侵者会有机可乘进入控制虚拟机的管理程序，进而避开专门针对保护虚拟机而设计的安全控制系统。虚拟世界的安全问题正在试图脱离虚拟机的控制范围。尽管没有那家公司会允许安全问题通过管理程序技术的方式在虚拟主机间相互传播和蔓延，但这样的安全隐患还是存在的。因为入侵者或者安全漏洞会在虚拟机之间来回捣乱，这将成为开发者在开发过程中的必须面对的问题。

　　2.虚拟机成倍增长，补丁更新负担加重

　　IT管理人们也认同补丁在虚拟化环境中的关键性，但是在虚拟机和物理服务器补丁之间实质的区别并非在于安全问题，而是量的问题。虚拟化服务器与物理服务器一样也需要补丁管理和日常维护。目前，世界上有公司采取三种虚拟化环境--两个在网络内部，一个在隔离区（DMZ）上--大约有150台虚拟机。但这样的布置就意味着管理程序额外增加了层来用于补丁管理。但即便如此，还是无法改变不管物理机还是虚拟机上补丁的关键问题。

　　虚拟机遇到的另外一个安全隐患是：虚拟机修补面临更大的挑战，因为随着虚拟机增长速度加快，补丁修复问题也在成倍上升。

　　另外当服务器成倍增长也给技术工程师及时增加补丁服务器的数量带来一定的压力，他们开始越来越关注实现这一进程的自动化的工具的诞生。

　　3.在隔离区（DMZ）运行虚拟机

　　通常，许多IT管理人都不愿在隔离区（DMZ）上放置虚拟服务器。其它的IT管理者们也不会在隔离区（DMZ）的虚拟机上运行关键性应用程序，甚至是对那些被公司防火墙保护的服务器也敬而远之。不过如果用户正确采取安全保障措施，这样做也是可行的。用户你可以在隔离区（DMZ）内运行虚拟化，即使防火墙或隔离设备都是物理机上。许多IT管理者们致力于将他们的虚拟服务器分隔开，将他们置于公司防火墙的保护之下，还有一些做法是将虚拟机放置在隔离区内-只在上面运行非关键性应用程序。服务器托管在多数情况下，如果把资源分离出来是比较安全的方式。这个时候，不管是隔离区还是非隔离区，都可以建立虚拟化环境，他是采用在虚拟资源的集群中限制访问的办法。“每个集群都是自己的资源和入口，因此无法在集群之间来回串联”,他解释说。

　　4. 管理程序技术的新特性容易受到黑客的攻击任何新的操作系统都是会有漏洞和瑕疵的。

　　5. 虚拟化从本质上来说全新的操作系统，还有许多我们尚不了解的方面。它会在优先硬件和使用环境之间相互影响，让情况一团糟的情况成为可能。

　　6. 那这是否意味着黑客就有机可乘，发现虚拟操作系统的缺陷进而发动攻击呢。工业观察家们建议安全维护人员要时刻对虚拟化操作系统保持警惕，他们存在潜在导致漏洞和安全隐患的可能性，安全维护人员只靠人工补丁修护是不够的。

　　虚拟化管理程序并非是人们自己所想象的那种安全隐患。根据对微软公司销售旺盛的补丁Windows操作系统的了解，象VMware这样的虚拟化厂商也在致力于开发管理程序技术时控制安全漏洞的可能性。